Исследователи компании Huntress сообщили о новых случаях кибератак с использованием TeamViewer в качестве инструмента первичного проникновения в сети жертв. Легитимная программа TeamViewer является популярным инструментом удаленного доступа, который широко используется в корпоративных сетях и высоко ценится за простоту и функциональность. Но, к сожалению, те же качества сделали программу весьма популярной и среди киберпреступников.

Еще в марте 2016 года были зафиксированы многочисленные случаи получения удаленного доступа к устройствам с целью их инфицирования зловредом-шифровальщиком Surprise. Доступ был получен посредством TeamViewer, и поначалу предполагалось, что злоумышленники воспользовались наличием некой уязвимости нулевого дня в программном обеспечении. Но разработчики отвергли эти предположения. По их словам, доступ, вероятнее всего, был получен в результате атаки с перебором и подстановкой учетных данных, ставших доступными ранее в результате различных утечек (credential stuffing). «TeamViewer является весьма распространенным программным обеспечением, и многие онлайн-преступники пытаются получить доступ к системам, используя данные ранее скомпрометированных учетных записей, чтобы установить, существует ли и учетная запись TeamViewer с теми же данными», - подчеркивали в тот момент представители разработчика.

Что касается нынешних атак, то эксперты Huntress детально описали два случая проникновения в системы жертв с использованием TeamViewer. Кто стоит за инцидентами неизвестно, но в обоих случаях проникновение служило для попытки инфицировать системы вымогательским ПО, имеющим существенное сходство с шифровальщиком LockBit. В сентябре 2022 года программа-компоновщик этого зловреда была опубликована в открытом доступе, и с тех пор различные хакерские группировки активно используют ее для создания собственных версий вредоносного ПО. Представители TeamViewer  в очередной раз отметили, что причиной проблем стало пренебрежение правилами строгой защиты. Они напомнили, что тем, кто работает с их инструментом, необходимо использовать сложные пароли, двухфакторную аутентификацию и «белые списки» пользователей и устройств, которым разрешен удаленный доступ.